Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Rozszerzenia przeglądarkowe od lat stanowią wygodny sposób na integrację usług webowych z codzienną pracą użytkownika, ale jednocześnie pozostają jednym z bardziej ryzykownych elementów środowiska końcowego. Gdy dodatek działa z szerokimi uprawnieniami i komunikuje się z wieloma stronami, pojedynczy błąd może naruszyć granice bezpieczeństwa pomiędzy odrębnymi aplikacjami.
Właśnie taki scenariusz ujawniono w przypadku rozszerzenia Adobe Acrobat dla Google Chrome. Wykryta podatność umożliwiała wykorzystanie dodatku jako pośrednika do uzyskania dostępu do danych z aktywnej sesji WhatsApp Web, bez potrzeby łamania zabezpieczeń samego komunikatora.
W skrócie
Badacze bezpieczeństwa opisali lukę w popularnym rozszerzeniu Adobe Acrobat, zainstalowanym w setkach milionów przeglądarek. Atak nie wymagał malware, przejęcia hasła ani lokalnej kompromitacji systemu. Wystarczyło nakłonić ofiarę do odwiedzenia spreparowanej strony internetowej.
Po uruchomieniu odpowiedniego łańcucha działań możliwe było aktywowanie ukrytego mechanizmu integracyjnego i odczyt danych z sesji WhatsApp Web, w tym wiadomości, kontaktów oraz wybranych informacji o koncie. Adobe załatało problem w czerwcu 2026 roku i przypisało mu identyfikator CVE-2026-48294.
Kontekst / historia
Opisana sprawa wpisuje się w szerszy trend rosnącego ryzyka związanego z rozbudowanymi rozszerzeniami przeglądarkowymi. W praktyce dodatki często działają na styku wielu zaufanych i niezaufanych kontekstów, a użytkownicy rzadko analizują rzeczywisty zakres ich uprawnień.
W tym przypadku problem nie dotyczył bezpośrednio WhatsAppa, lecz warstwy pośredniej dostarczanej przez producenta oprogramowania biurowego. Badacze nazwali atak HermeticReader, wskazując, że jego skuteczność wynikała z błędnego modelu zaufania zastosowanego w rozszerzeniu. Szczególnie niepokojąca była skala potencjalnego oddziaływania, ponieważ podatny komponent był bardzo szeroko rozpowszechniony.
Analiza techniczna
Technicznie był to przypadek podatności klasy UXSS, czyli takiej, która narusza założenia izolacji przeglądarki i umożliwia dostęp do danych pomiędzy różnymi originami. Sednem problemu były niewystarczające kontrole bezpieczeństwa w mechanizmie komunikacji wewnętrznej rozszerzenia Adobe Acrobat.
Po wejściu użytkownika na złośliwą stronę uruchamiana była ukryta ramka, która inicjowała komunikację z rozszerzeniem i przekazywała polecenia bez odpowiedniej walidacji źródła. Umożliwiało to manipulowanie danymi wykorzystywanymi przez rozszerzenie, w tym elementami local storage.
Kolejny etap polegał na aktywacji komponentu określanego jako Hermes, czyli ukrytego mechanizmu integracyjnego. Po jego włączeniu powstawało logiczne połączenie pomiędzy rozszerzeniem a aktywną sesją WhatsApp Web działającą w tej samej przeglądarce.
W efekcie atakujący mógł uzyskać cichy dostęp do prywatnych czatów, listy kontaktów oraz części danych konta. Z perspektywy bezpieczeństwa był to klasyczny błąd przekroczenia granicy zaufania: uprzywilejowany komponent przyjmował dane sterujące z niezaufanego źródła i wykonywał operacje, które powinny być zarezerwowane wyłącznie dla kontrolowanych kontekstów.
Konsekwencje / ryzyko
Ryzyko związane z tą luką należy ocenić jako wysokie, szczególnie w środowiskach, gdzie WhatsApp Web jest używany do komunikacji biznesowej. Ujawnienie treści rozmów i metadanych kontaktów może prowadzić do naruszenia prywatności, utraty poufności oraz dalszych działań ofensywnych.
Dla organizacji skutki mogły obejmować wyciek ustaleń operacyjnych, danych klientów, informacji projektowych oraz komunikacji wewnętrznej zespołów. Co istotne, atak był stosunkowo lekki operacyjnie, ponieważ nie wymagał instalacji dodatkowego złośliwego oprogramowania ani trwałej kompromitacji stacji roboczej.
Przechwycone dane mogły także posłużyć do prowadzenia kolejnych ataków, takich jak phishing, BEC, podszywanie się pod pracowników czy rozbudowany rekonesans wobec innych systemów organizacji. Jeśli użytkownik korzystał z jednego profilu przeglądarki do wielu usług SaaS, skala potencjalnych konsekwencji mogła znacząco wykraczać poza sam komunikator.
Rekomendacje
Najważniejszym krokiem jest upewnienie się, że używane przeglądarki posiadają już zaktualizowaną wersję rozszerzenia Adobe Acrobat zawierającą poprawkę bezpieczeństwa. Rozszerzenia powinny być objęte takim samym procesem patch management jak systemy operacyjne, aplikacje biurowe i oprogramowanie endpointowe.
Warto również ograniczyć liczbę dodatków do absolutnego minimum i traktować każdy komponent z szerokimi uprawnieniami jako element wysokiego ryzyka. W środowiskach firmowych dobrym standardem jest centralne zarządzanie politykami przeglądarki oraz stosowanie listy dozwolonych rozszerzeń.
- regularnie aktualizować rozszerzenia przeglądarkowe i audytować ich uprawnienia,
- rozdzielać profile przeglądarki dla zastosowań prywatnych i służbowych,
- monitorować nietypowy ruch wychodzący z przeglądarki,
- ograniczać użycie komunikatorów webowych do zaufanych, zarządzanych środowisk,
- wdrażać telemetrykę browser security oraz rozwiązania EDR,
- szkolić użytkowników w zakresie ryzyka odwiedzania nieznanych stron podczas aktywnych sesji usług biznesowych.
Zespoły bezpieczeństwa powinny ponadto uwzględniać rozszerzenia przeglądarkowe w modelowaniu zagrożeń, testach red team i programach redukcji powierzchni ataku. To obszar, który w wielu organizacjach nadal jest nadzorowany słabiej niż tradycyjne aplikacje endpointowe.
Podsumowanie
Luka w rozszerzeniu Adobe Acrobat pokazała, że dodatki przeglądarkowe o szerokich uprawnieniach mogą stać się wygodnym punktem wejścia do naruszenia poufności danych w innych usługach webowych. W tym przypadku pojedynczy błąd umożliwiał przełamanie granic bezpieczeństwa pomiędzy rozszerzeniem a sesją WhatsApp Web.
Najważniejsza lekcja dla organizacji jest jednoznaczna: rozszerzenia przeglądarkowe muszą być traktowane jak pełnoprawny element powierzchni ataku. Wymagają regularnych aktualizacji, kontroli uprawnień, monitoringu oraz włączenia do procesów bezpieczeństwa na równi z innym krytycznym oprogramowaniem.